Direct Anonymous Attestation

Direct Anonymous Attestation (DAA, с англ. — «прямая анонимная аттестация») — это криптографический примитив, который делает возможным удаленную аутентификацию доверенного модуля, сохраняя конфиденциальность пользователя.

Прямая анонимная аттестация похожа на групповую подпись без опции раскрытия пользователя, однако она допускает создание псевдонимов, то есть позволяет создателю подписей связывать подписи между собой. Также она позволяет проверять то, что подпись была сгенерирована с помощью скомпрометированного секретного ключа. Безопасность схемы доказана в модели случайного оракула при условии выполнения допущений устойчивого RSA и Диффи — Хеллмана о принятии решений.

TCG (от англ. Trusted Computing Group) приняла прямую анонимную аттестацию в качестве метода удаленной аутентификации аппаратного модуля, называемого доверенным аппаратным модулем или TPM (от англ. Trusted Platform Module), сохраняющего конфиденциальность пользователя платформы, содержащей данный модуль.

Реализация

Проблема конфиденциальности может быть решена с использованием любой стандартной схемы аутентификации с открытым ключом (или схемы подписи). Можно создать пару секретный / открытый ключ, а затем встраивать секретный ключ в каждый TPM. После этого верификатор и TPM действуют в соответствии с протоколом аутентификации. Так как все TPM используют один и тот же ключ, то они будут неразличимы. Но это решение никогда не сработает на практике: как только один аппаратный модуль будет скомпрометирован, а секретный ключ извлечен и опубликован, верификаторы больше не смогут отличать настоящие TPM от мошеннических. Поэтому должна быть возможность обнаружения мошеннических TPM.

В первой версии спецификации TPM v1.1, принятой TCG, требуется пользующаяся доверием третья сторона, то есть центр сертификации или CA (от англ. Certification Authority) конфиденциальности . Каждый TPM имеет встроенную пару ключей RSA, называемую ключом подтверждения или EK (от англ. Endorsement Key). CA должен знать ключи подтверждения всех действующих TPM. В целях идентифицировать себя, TPM генерирует вторую пару ключей RSA, называемую ключом удостоверения подлинности или AIK (от англ. Attestation Identity Key) и отправляет открытый AIK, подписанный ключом подтверждения в CA, который проверяет его действительность и выдает сертификат для ключа удостоверения подлинности. При такой реализации центр конфиденциальности должен знать открытый ключ подтверждения TPM или администратор TPM должен предоставлять сертификат подтверждения. Существует два пути для обнаружения мошеннических TPM данным методом. Во-первых, центр сертификации конфиденциальности должен вести список TPM, идентифицируя их по ключами подтверждения, чтобы определить мошеннические, и отклонять запросы от них. Во-вторых, если центр сертификации конфиденциальности получает слишком много запросов от определенного TPM, то он может их отклонить и заблокировать ключ подтверждения данного TPM. Это решение является сложным, так как требования конфиденциальности могут быть нарушены, если центр сертификации конфиденциальности и верификатор вступают в сговор.

Формальная спецификация

В реальной системе существует ряд участников, которые взаимодействуют друг с другом в соответствии с криптографическими протоколами, есть нечестный участник $A$ (от англ. Adversary), контролирующий некоторых участников, и среда $E$ (от англ. Environment), которая предоставляет участнику $U_{i}$ входные данные и произвольно взаимодействует с $A$. Среда передает входные данные честным участникам, получает их выходные данные и произвольно взаимодействует с нечестным участником $A$. В идеальной системе участники не запускают никаких протоколов, но отправляют все свои входные данные и получают свои выходные данные от доверенной стороны $T$ (от англ. Trusted party). Ее роль заключается в том, чтобы вычислить выходные данные для каждого участника исходя их входных данных, таким образом реализуя функционал криптографических протоколов. Криптографический протокол считается надёжным, если для любого нечестного участника $A$ и для любой среды $E$ существует симулятор $S$ (от англ. Simulator), контролирующий поток данных тех же участников в идеальной системе, что и $A$ в реальной системе, такой что среда не может различить, действует ли она в реальной системе и взаимодействует с $A$ или действует в идеальной системе и взаимодействует с симулятором $S$. Зададим функциональность прямой анонимной аттестации. Могут различаться следующие типы участников: эмитент $I$ (от англ. Issuer), модуль доверенной платформы $M_{i}$ с идентификатором $id_{i}$ (от англ. Identity), хост $H_{i}$ (от англ. Host) со встроенным TPM $M_{i}$, верификаторы $V_{j}$ (от англ. Verifier) функция-оракул $O$ (от англ. Oracle), которая показывает мошеннические TPM.

Идеальная система доверенной стороны $T$ обеспечивает следующие операции:

Настройка: Каждый TPM $M_{i}$ отправляет свой уникальный идентификатор $id_{i}$ доверенной стороне $T$, который пересылает его соответствующему хосту $H_{i}$.

Соединение:

• Хост $H_{i}$ обращается к $T$ с просьбой стать участником.
• $T$ отправляет определенному TPM $M_{i}$ значение счетчика $cnt$ (от англ. Counter value).
• Затем $T$ спрашивает эмитента $I$, может ли платформа с идентификатором $id$ и значением счетчика $cnt$ стать участником.
• Если $M_{i}$ был помечен как мошенник в соответствии со значением счетчика, $T$ передает это $I$ тоже.
• Если эмитент соглашается, то $T$ уведомляет $H_{i}$, что он стал участником.

DAA Подпись/Проверка:

• Хост $H_{i}$ хочет подписать сообщение $m$ относительно некоторого базового имени $bsn$ $\in \{0,1\}^{*}\cup \{\bot \}$ и некоторого значения счетчика $cnt$ для некоторого верификатора $V_{j}$.
• $H_{i}$ отправляет $m$, $bsn$ и $cnt$ в $T$.
• Если $H_{i}$ или $M_{i}$ не являются участниками с учетом $cnt$, то T отклоняет запрос.
• Иначе $T$ пересылает $m$ и $cnt$ к соответствующему $M_{i}$ и спрашивает его о желании это подписать.
• Если он согласен, то $T$ передает $H_{i}$, что $M_{i}$ соглашается и спрашивает его какое базовое имя $bsn$ он хочет подписать (или хочет прервать).
• Если $H_{i}$ не прерывает, то $T$ будет работать следующим образом:
  • $M_{i}$ был помечен как мошенник, тогда $T$ дает знать $V_{j}$, что мошеннический TPM подписал $m$.
  • $bsn=\bot$, то $T$ отправляет $V_{j}$, что m было подписано $bsn$.
  • $bsn\neq \bot$, то $T$ проверяет, подписали ли $H_{i}$ или $M_{i}$ сообщение с $bsn$ и $cnt$. Если это выполнилось, то $T$ ищет соответствующий псевдоним $P$ в своих данных; в другом случае $T$ выбирает новый случайный псевдоним $P$ $\in \{0,1\}^{l_{c}}$ ($l_{c}$ — параметр безопасности). В конце $T$ сообщает $V_{j}$, что платформа с псевдонимом $P$ подписала $m$.

Идентификация мошенников:

• $O$ указывает $T$ платформу с идентификатором $id$ с учетом $cnt$ как на мошенника.
• Если TPM с идентификатором $id$ не поврежден, то T отклоняет запрос.
• Иначе $T$ помечает TPM с идентификатором $id$ как мошеннический в соответствии со значения счетчика cnt.

Модель безопасности

Протокол DAA основан на четырех типах объектов. Объектами являются некоторое количество доверенных аппаратных модулей или микропроцессоров с поддержкой EPID (от англ. Enhanced Privacy ID), эмитент, верификаторы и хосты. TPM и хост образуют платформу, которая обращается к эмитенту в соответствии с протоколом соединения. Эмитент должен проверить платформу и решить, разрешает ли он ей стать участником. Эмитент является объектом протокола DAA, который выдает учетные данные на основе ключевых атрибутов платформы. Далее TPM и принимающая сторона подписывают сообщения базовым именем — $bsn$ (от англ. basename). Если платформа подписана с помощью $bsn=\bot$ или нового базового имени, подпись должна быть анонимной и недоступной для предыдущих подписей. Это значит, что любой верификатор может проверить факт того, что подпись была получена от подтвержденной платформы с помощью детерминированного алгоритма. Но подпись не дает никакой информации о подписавшейся личности. Когда платформа подписывается $bsn\neq \bot$, становится очевидно, что полученные подписи были созданы одной и той же платформой..

• Полнота: честная платформа успешно создает подпись для сообщения с базовым именем $bsn$, честный верификатор принимает подпись.

• Корректность соединения: честная платформа успешно создает две подписи ${\sigma }_{1}$ и ${\sigma }_{2}$, одно и то же базовое имя $bsn=\bot$, честный верификатор, выполняющий алгоритм соединения на ${\sigma }_{1}$ и ${\sigma }_{2}$, даст 1.

Задача посложнее заключается в определении свойств безопасности, которые схема DAA должна давать в присутствии мошенника:

• Стойкость 1: Когда эмитент и все доверенные платформенные модули честны, ни один мошенник не может создать подпись для сообщения m с базовым именем $bsn$, если ни одна платформа не подписала $m$ с $bsn$.

• Стойкость 2: Когда эмитент честен, мошенник может подписаться только именем поврежденных TPM. Если $n$ TPM повреждены, мошенник может создать не более $n$ несвязанных подписей для одного и того же базового имени $bsn\neq \bot$.

• Анонимность: мошенник, которому даны две подписи с двумя разными базовыми именами или $bsn=\bot$, не может найти отличить, были ли обе подписи созданы одной честной платформой или двумя разными.

Параметры безопасности

В схеме прямой анонимной аттестации используются параметры безопасности $l$_n — размер модуля RSA, $l$_f — размер f_i (закодированная информация в сертификате), $l$_e — размер экспоненты, состовляющей часть сертификата, $l'$_e — размер интервала, из которого выбирается экспонента, $l$_∅ — параметром безопасности, управляющий статистическим свойством нулевого разглашения, $l$_𝑣 — размер 𝑣 (случайное значение, часть сертификата), $l$_𝛨 — выходная длина хэш-функции, используемая для эвристического алгоритма Фиат-Шамира, $l$_r — параметр безопасности для уменьшения доказательства безопасности, $l$_G — размер модуля G, $l$_p — размеру порядка p подгруппы $\mathbb {Z} _{G}^{*}$ для маркировки ошибок.

При $l_{p}=2l_{f}$ должны выполняться следующие неравенства:

$l_{e}>l_{\varnothing }+l_{H}+max\{l_{f}+4,l_{e}'+2\}$

$l_{v}>l_{\varnothing }+l_{H}+l_{n}+max\{l_{f}+l_{r}+3,l_{\varnothing }+2\}$

Задача дискретного логарифмирования в подгруппе $\mathbb {Z} _{G}^{*}$ порядка $\rho$, при условии, что $G$, $\rho$ простые числа $2^{l_{G}}>G>2^{l_{G}-1}$ и $2^{l_{p}}>p>2^{l_{p}-1}$, должны иметь одинаковую сложность с факторизацией $l_{n}$-бит RSA. Для выполнения данного условия выбираются $l_{p}$, $l_{G}$. $H$ — устойчивая к коллизиям хэш-функция $H$: $\{0,1\}^{*}\rightarrow \{0,1\}^{l_{H}}$.

Функции эмитента

Генерация ключей формирует неинтерактивное доказательство с использованием эвристики Фиат-Шамира того, что выбор ключей был сделан правильно. Это будет гарантировать требования безопасности хоста и его пользователя, следовательно анонимность и конфиденциальность подписей будут сохраняться.

• Эмитент выбирает RSA модули $n=p*q$ с такими $p,q$, что $p=2p^{'}+1$ , $q=2q^{'}+1$, такими что $p,p',q,q'$ являются простыми числами и $n$ имеет $l_{n}$ бит.

• Эмитент выбирает генератор случайных чисел $g'$ из $QR_{n}$ (группа квадратичных вычетов по модулю $n$).
• Эмитент выбирает случайные целые числа $x_{0},x_{1},x_{z},x_{s},x_{b},x_{g}\in [1,p'q']$ и вычисляет:

$g:=g^{'x_{g}}{\bmod {n}}$ $h:=g^{'x_{h}}{\bmod {n}}$ $Z:=h^{x_{z}}{\bmod {n}}$ $R_{0}:=S^{x_{0}}{\bmod {n}}$ $S:=h^{x_{s}}{\bmod {n}}$ $R_{1}:=S^{x_{1}}{\bmod {n}}$

• Эмитент предоставляет неинтерактивное доказательство того, что $R_{0},R_{1},S,Z,g,h$ вычислены правильно, то есть $g,h\in <g'>$, $S,Z\in <h>$, и $R_{0},R_{1}\in <S>$.
• Эмитент генерирует группу простого порядка, то есть выбирает случайные простые числа $p,G$ так, чтобы $G=r*p+1$ для некоторого $r$: $p\nmid r$ и

$2^{l_{G}-1}<G<2^{l_{G}}$ и $2^{l_{p}-1}<p<2^{l_{p}}$

Далее он выбирает случайное $y'{\in }_{R}\mathbb {Z} _{G}^{*}$ такое что $y^{'(G-1)/p}\neq 1({\bmod {G}})$ и $y:=y^{'(G-1)/p}\neq 1{\bmod {G}}$.

• В конце он публикует открытый ключ $n,g',g,h,S,Z,R_{0},R_{1},y,G,p$ и сохраняет $p'q'$ в качестве секретного ключа.

Пусть $H_{G}(\cdot )$ и $H(\cdot )$ — две устойчивые к коллизии хэш-функции, тогда:

$H_{G}(\cdot )$ : $\{0,1\}^{*}\to \{0,1\}^{l_{G}+l_{\varnothing }}$ $H(\cdot )$ : $\{0,1\}^{*}\to \{0,1\}^{l_{H}}$.

Существующие реализации

Брикелл Э., Камениш Я., Чэнь Л. сделали первую схему прямой анонимной аттестации на основе RSA. Но схема была небезопасна и требовала исправлений. Брикелл Э., Чэнь Л., Ли Ц.. повысили эффективность первой схемы, используя симметричные пары, вместо RSA. Чэнь Л., Моррисси П., Смарт Н. попытались увеличить эффективность, переключаясь с симметричного на асимметричный параметр, но к сожалению, асимметричная схема оказалась небезопасна. Чэнь Л., Пейдж Д., Смарт Н. предложили новую криптографическую схему с использованием кривых Баррето-Наерига. Эта схема реализуется как EPID 2.0, так и стандартом TPM 2.0.

Литература

• Brickell E., Camenisch J., Chen L. Direct Anonymous Attestation // ACM Conference on Computer and Communications Security. — ACM New York, NY, USA, 2004. — С. 132—145. — ISBN 1-58113-961-6. — doi:10.1145/1030083.1030103.
• Camenisch J., Drijvers M., Lehmann A. Universally Composable Direct Anonymous Attestation // Public-Key Cryptography – PKC 2016. — Springer Berlin Heidelberg, 2016. — С. 234—264. — ISBN 978-3-662-49387-8. — doi:10.1007/978-3-662-49387-8_10.
• Smyth B., Ryan M., Chen L. Formal analysis of privacy in Direct Anonymous Attestation schemes // Elsevier. — Science of Computer Programming, 2015. — С. 300—317. — doi:10.1016/j.scico.2015.04.004.
• Brickell E., Chen L., Li J. Simplified security notions of Direct Anonymous Attestation and a concrete scheme from pairings // International Journal of Information Security. — 2009. — С. 315–330. — doi:10.1007/s10207-009-0076-3.
• Chen L., Morrissey P., Smart N.P. On Proofs of Security for DAA Schemes // 3rd International Conference on Trust and Trustworthy Computing. — Springer, Berlin, Heidelberg, 2008. — С. 156—175. — ISBN 978-3-540-88733-1. — doi:10.1007/978-3-540-88733-1_11.
• Chen L., Morrissey P., Smart N.P. Pairings in Trusted Computing // Lecture Notes in Computer Science. — Springer, Berlin, Heidelberg, 2008. — С. 1—17. — ISBN 978-3-540-85538-5. — doi:10.1007/978-3-540-85538-5_1.
• Chen L., Page D., Smart N.P. On the Design and Implementation of an Efficient DAA Scheme // Lecture Notes in Computer Science. — Springer, Berlin, Heidelberg, 2010. — С. 223–237. — ISBN 978-3-642-12510-2. — doi:10.1007/978-3-642-12510-2_16.